Accesos corporativos
Actualización para evitar robos en tiendas online Magento
Fecha de publicación:
22/02/2016
Importancia:
3 -
Media
Recursos afectados:
- Magento EE versiones anteriores a 1.14.2.0
- Magento CE versiones anteriores a 1.9.1.1
Descripción:
Recientemente la empesa de seguridad Sucuri ha informado de la existencia de un falso parche (en forma de malware) dirigido a las tiendas online que usan Magento. Este malware tiene el mismo nombre que una importante actualización (SUPE-5344) que solucionaba un fallo de seguridad que permitía al atacante crear una cuenta de administrador. Aprovechando esta vulnerabilidad los ciberdelincuentes introducen el falso parche con el malware . Este malware roba las credenciales y otros datos de los clientes de la tienda online.
Solución:
Magento recomienda comprobar la seguridad de la tienda online. Es importante que remita esta información al equipo técnico que mantiene su portal web y que permanezcan atentos. Para evitar este problema, es importante que sigan los siguientes pasos:
1. Confirmar que se han instalado todos los parches necesarios y guardar un registro para futuras referencias. En esta página Magereport.com puede comprobar que parches tiene instalados.
2. El parche SUPEE-5344 es una actualización esencial que debe aplicarse a todas las versiones de Magento; si aún no ha instalado el parche, es urgente que tome medidas para auditar y depurar su sitio.
3. Descargue e instale los parches de seguridad adecuados para su versión de directamente de Magento.
- Para tiendas con Enterprise Edition: vaya a My Account, seleccione la pestaña Downloads y vaya a Magento Enterprise Edition > Support Patches
- Para tiendas con Community Edition: los parches se encuentran en la página de descargas de CE.
- Para partners: Ir al portal Partner Portal, seleccioneTechnical Resources y después Download desde el panel Enterprise Edition.
Para la instalación del parche se recomienda seguir las instrucciones en:
Adicionalmente pueden revisar las buenas prácticas de seguridad para estos productos:
- Buenas prácticas de seguridad para Magento Enterprise Edition
- Buenas prácticas de seguridad para Magento Community Edition
Disponen también de una Guía básica de seguridad en Magento en la que consultar cómo reforzar la seguridad de su tienda online Magento.
Detalle:
La actualización SUPE-5344 (shoplift bug pactch), de febrero de 2015, soluciona un fallo de seguridad que permite a los ciberdelincuentes tomar control de la tienda suplantando al administrador.
Los ciberdelincuentes, conocedores de la importancia de este parche, de la existencia de tiendas sin actualizar y aprovechando esta vulnerabilidad, han creado un malware con la apariencia del parche que:
- roba las credenciales y otros datos de los clientes de la tienda
- ejecuta código en el servidor
- cambia los permisos de los ficheros de Magento
¿Te gustaría recibir estos avisos en tu lector de RSS? Anímate y suscríbete a nuestro servicio de RSS o perfil de twitter @incibe 
y Facebook "protegetuempresa". Serás el primero en enterarte de los últimos avisos de seguridad para empresas.
Referencias:
Etiquetas: